在網路監視解決方案 Zabbix 中發現多個安全性弱點。攻擊者可透過 zabbix Web 前端列舉有效使用者並重新導向至外部連結。

CVE-2019-15132

Zabbix 允許列舉使用者。透過登入要求，可以根據不同的伺服器回應 (例如，「登入名稱或密碼不正確」和「無系統存取權限」訊息，或僅封鎖數秒) 列舉應用程式的使用者名稱。此問題影響 api_jsonrpc.php 和 index.php。

CVE-2020-15803

Zabbix 允許在攻擊者 URL Widget 中執行儲存式 XSS 攻擊。此修正程式在之前的上傳版本 1:3.0.31+dfsg-0+deb9u1中曾被錯誤刪除。

此更新也包含其他數個錯誤修正和改良。
如需詳細資訊，請參閱上游變更記錄檔案。

針對 Debian 9 Stretch，已在 1:3.0.32+dfsg-0+deb9u1 版本中修正這些問題。

建議您升級 zabbix 套件。

如需有關 zabbix 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/zabbix

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-2631-1：zabbix 安全性更新

medium Nessus Plugin ID 148926

版本 1.5